ホームページのセキュリティ対策｜担当者向けチェックリスト・費用と運用

ホームページのセキュリティ対策とは、不正ログインやサイト改ざん、情報漏えいなどを防ぎ、異常が起きた場合にも被害を抑えて復旧できるようにする取り組みです。SSLを導入するだけでなく、CMSの更新、認証・権限の管理、バックアップ、監視を組み合わせて継続します。

最初に確認したいのは「更新できているか」「管理画面を守れているか」「バックアップから戻せるか」「異常時の連絡先が決まっているか」です。制作会社やサーバー会社と契約していても、どこまで対応してもらえるかが不明なままでは、必要な作業が抜け落ちるおそれがあります。

この記事では、中小企業のWeb担当者に向けて、ホームページのセキュリティチェックリスト、制作時に決める要件、WordPressの運用手順、費用の考え方、被害発生時の初動まで解説します。

この記事でわかること

• 自社ホームページのどこを確認し、何から対策すればよいか
• 制作会社・保守会社に任せる範囲と、費用を比較するときの確認事項
• WordPressの更新・バックアップ・障害対応を継続するための運用方法

保守を外注する場合は、「更新・バックアップ・復旧のどこまで任せられるか」を先に整理しておくと、依頼先を比較しやすくなります。以下の「ホームページ保守・管理会社選定チェックリスト」をご活用ください。サイト自体の安全性を診断する資料ではなく、保守会社の対応範囲や契約条件を確認するための資料です。

まず確認したいホームページのセキュリティチェックリスト

すでに不審な転送や身に覚えのない管理者を見つけた場合は、通常の点検より被害発生時の初動対応を優先し、契約先へ連絡してください。

会社案内だけのサイトにも更新・認証・バックアップは必要です。問い合わせフォーム、会員ページ、決済、ファイルアップロードなどがある場合は、入力・保存する情報と利用権限を加えて確認します。下表の確認タイミングは運用計画の例であり、一律の法定頻度やIPAが定めた実施周期ではありません。

不明な項目は「問題なし」ではなく「担当・確認期限が未設定」として管理します。まず管理者と契約情報を確認し、重大な問題から担当者と対応順を決めましょう。チェックした記録と変更後の再確認結果を残すことが、チェックリストを実際の運用へつなげるポイントです。

参考：IPA「安全なウェブサイトの作り方」

ホームページにセキュリティ対策が必要な理由

ホームページのリスクは、企業の知名度だけでは決まりません。WordPressの公式資料でも、自動化された攻撃や、古いソフトウェアの脆弱性を狙う攻撃が説明されています。小規模な企業サイトでも、管理が不十分なまま公開を続けることは避ける必要があります。

被害は「画面を書き換えられる」だけではありません。問い合わせ情報の流出、フィッシングページの設置、不正なメール送信、別サイトへの誘導などにつながる場合があります。復旧作業に加えて、顧客対応や原因調査が必要になる点も重要です。

WordPressを使わないホームページでも、サーバー、ドメイン管理アカウント、外部フォームなどの管理は必要です。サイトの構成と取り扱う情報に合わせて、守る対象を洗い出しましょう。

参考：WordPress公式「Hardening WordPress」

ホームページ制作時に決めておきたいセキュリティ要件

ホームページ制作のセキュリティは、公開直前に設定を追加すれば完了するものではありません。何の情報を取得するか、誰が操作できるか、公開後に誰が更新するかを、企画・設計段階から決めておくことが大切です。

発注者は、すべての技術を理解して実装する必要はありません。以下の確認事項を制作会社と共有し、対応範囲を仕様書・見積書・引き継ぎ資料に残しましょう。

例えば、会社案内と問い合わせフォームだけのサイトと、会員情報・予約・決済を扱うサイトでは、必要な確認範囲が異なります。会員サイトでは「ログインできるか」だけでなく、「別の利用者の情報を閲覧・変更できないか」という権限の確認も必要です。

見積書に「セキュリティ対策一式」とだけ書かれている場合は、対象機能と実施内容を具体化してください。レンタルサーバーの管理、ホームページのプログラム保守、運営側のアカウント管理を分けて確認すると、責任の抜け漏れを見つけやすくなります。

ホームページで実施すべき12のセキュリティ対策

対策は一つのプラグインで完了するものではありません。以下の12項目を、サイトの機能と保守契約に合わせて組み合わせます。実装の確認にはIPAの資料、WordPress固有の運用には公式のセキュリティ資料を参照してください。

1. HTTPSと証明書の更新を管理する

主要ページとフォームで警告がないか確認し、自動更新の失敗通知も受け取れる状態にします。通信を暗号化しても、フォームの脆弱性や権限の問題まで解消されるわけではありません。

2. CMS・テーマ・プラグインを更新する

提供終了や脆弱性情報を把握し、互換性の検証・バックアップ・戻し方を含む更新手順を決めます。自動更新と保守会社の作業が衝突しないかも確認します。

3. 不要な機能・アカウントを整理する

利用しないプラグインや古いアカウントを残さず、削除・停止の担当と変更記録を決めます。必要なデータと他機能への影響は作業前に確認してください。

4. 固有の認証情報と多要素認証を使う

使い回しを避け、多要素認証が利用できる範囲へ適用します。担当変更時の権限解除と、端末紛失時の復旧方法も決めておきます。

5. 必要最小限の権限を割り当てる

記事更新の担当とシステム管理者を分けます。管理画面だけでなく、サーバー・データベース・外部サービスのアクセス範囲も対象です。

6. フォームの入力と出力を安全に扱う

入力検証、出力時の適切な処理、SQLを安全に扱う実装などを開発担当へ確認します。迷惑送信への対策と、情報漏えいにつながる脆弱性対策は分けて検証します。

7. WAF・アクセス制限を運用する

正規のフォーム送信や更新を妨げていないかも確かめます。WAFだけに頼らず、実装上の問題やソフトウェア更新と組み合わせて管理します。

8. ファイルとデータベースをバックアップする

サイトと同じ場所だけに保存せず、必要な世代・保存先・アクセス権を決めます。復元試験で、画像と本文だけでなくフォーム等が動くことも確かめます。

9. サーバー・PHP等のサポート状況を確認する

利用バージョンと保守期限、更新できない理由を把握します。更新の前にテーマやアプリの互換性を確認し、移行作業の担当を明確にします。

10. ログと変更・障害の通知を確認する

誰がどのログを見て、異常時に連絡するかを決めます。通知が旧担当者へ届く状態や、必要なログを取得できない状態を放置しないようにします。

11. 個人情報と秘密情報の保存を見直す

必要以上に情報を集めず、保管場所・閲覧権限・保存期間を決めます。認証情報やバックアップを公開領域へ置かないことも確認します。

12. 変更時のテストと緊急手順を残す

更新・設定変更後には表示と業務機能を確認します。問題発見時の停止判断、連絡先、復元・再開の確認項目を文書化し、担当交代時も引き継ぎます。

参考：NIST「SP 800-63B：認証と認証器の管理」

参考：MDN「HTTPS」

参考：エックスサーバー「WAF設定」

参考：IPA「SQLインジェクション」、IPA「安全なウェブサイトの作り方」

参考：PHP公式「Supported Versions」

参考：WordPress公式「Backups」

参考：Google「セキュリティの問題レポート」

WordPressのセキュリティ対策を継続する運用手順

WordPressでは、プラグインを一つ入れれば保守が不要になるわけではありません。更新結果を確認し、不具合が出たときに戻せるところまでを、一連の作業として設計しましょう。

更新前の準備から更新後の確認までを記録する

1. 利用中の本体・テーマ・プラグイン・PHPのバージョンと更新内容を確認する
2. ファイルとデータベースをバックアップし、復元方法を確認する
3. 必要に応じて検証環境で更新し、表示と主要機能を確認する
4. 利用者への影響を考慮して本番環境へ反映する
5. フォーム送信、管理画面、会員・予約などの主要機能を再確認し、結果を記録する

フォームは、完了画面が表示されるだけでなく、担当者への通知や自動返信まで届くかを確認します。会員・予約・決済があるサイトでは、実データや実請求に影響しないテスト方法を事前に決めてください。

参考：WordPress公式「Updating WordPress」

自動更新の成否と、更新できない理由を確認する

自動更新を設定していても、失敗や更新後の不具合を確認する担当者は必要です。通知を受け取るだけで終わらせず、実際のバージョンと動作を確認してください。

独自テーマや古いプラグインが原因で更新できない場合は、代替機能への変更や改修が必要になることがあります。セキュリティプラグインを追加し続けるのではなく、更新を妨げている原因を整理しましょう。

社内で検証や復旧まで行えない場合は、更新作業だけでなく、バックアップ・動作確認・障害対応を含めて保守会社へ相談してください。

ホームページのセキュリティ対策にかかる費用と公開料金例

セキュリティ対策の費用は、機能の利用料、設定・更新の作業費、継続保守、専門的な診断・復旧に分けて考えると比較しやすくなります。無料の機能があっても、その設定確認や更新作業まで無料になるわけではありません。

次の表は、一律の市場相場ではなく、費用の発生箇所と確認できた公開料金例を整理したものです。公開料金例は2026年9月29日確認時点で、対象範囲や条件によって実際の金額は変わります。

料金例の出典：エックスサーバー「独自SSL」、FNJ「Webサイト保守管理」、ABURIDA「サービス内容／料金」

診断の「リクエスト数」は、画面数と必ずしも一致しません。一つの画面でも複数の送信処理や権限を確認する場合があるため、単純なページ単価だけで比較しないことが大切です。

「24時間監視」と「24時間の有人対応」は分けて確認する

自動監視が常時動いていることと、夜間・休日に担当者が調査や復旧を行うことは別です。通知先、受付時間、初動の条件、時間外料金を確認しましょう。FNJへの通常のお問い合わせ受付は、平日9:30〜18:30です。

保守契約では、更新、バックアップ、復元、監視、原因調査がそれぞれ月額料金に含まれるかを確認します。「バックアップあり」でも復元作業は別料金という場合があるため、作業単位で整理してください。

ホームページが改ざん・不正アクセスされた場合の初動対応

不審な転送、身に覚えのない管理者、見知らぬページなどを発見した場合は、通常の更新作業と分けて契約先へ連絡します。影響を受けた時刻・URL・表示を記録し、ログや原本を保全したうえで、停止やアクセス制限の要否を判断してください。

原因が分からないままファイルを一括削除したり、侵入時期が不明なバックアップへ戻したりすると、調査や再発防止が難しくなります。技術担当と影響範囲、復旧・再開条件を確認しましょう。既存の緊急対応の記事へ進む導線を下に残しています。

参考：WordPress公式「FAQ My site was hacked」

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」

ホームページのセキュリティ対策を外注する判断基準

アカウントの利用者確認や、社内連絡先の整理は自社でも進められます。一方、更新時の検証、サーバー設定、ログ分析、脆弱性診断、侵害後の復旧は、必要な技術と担当時間を確保できるかで判断しましょう。

「社内に詳しい人がいるか」だけでなく、その人が不在でも対応できるか、バックアップから戻せるか、重要な更新を放置しない仕組みがあるかまで確認することが大切です。

次のような状態なら、保守会社への相談を優先する

• CMS・PHPのバージョンや、最後に更新した日がわからない
• バックアップの保存先・保存日時・復元方法を説明できない
• 以前の制作会社と連絡が取れず、管理情報が整理されていない
• 会員・予約・決済などの重要機能があり、更新失敗の影響が大きい
• 不正アクセスや改ざんの兆候があり、原因を切り分けられない

契約前は「作業するか」だけでなく「結果を確認するか」を聞く

保守会社には、他社制作サイトへの対応可否、更新前の検証、復元作業、PHP・サーバーの対応範囲、作業報告の内容を確認します。大規模な脆弱性診断や詳細な事故調査が必要な場合は、専門会社との役割分担も相談してください。

例えば「毎月更新します」という説明だけでなく、「更新できなかった項目は報告されるか」「フォームの送信確認は含まれるか」「障害時はどの範囲まで調査するか」を聞くと、実際の対応範囲を比較しやすくなります。

ホームページの保守・セキュリティ対策はファーストネットジャパンへ

株式会社ファーストネットジャパンは、大阪・東京を拠点に、ホームページ制作、システム開発、Webマーケティング、運用保守を提供しています。1998年の創業以来、累計4,000件を超えるプロジェクトに携わってきました。

ホームページ保守では、CMS・テーマ・プラグインの更新、WAFなどの設定、バックアップ、サーバー監視、障害時の対応を、サイトの構成や契約範囲に応じてご提案します。他社制作サイトの保守先を見直したい場合や、更新できない機能の改修を相談したい場合もお問い合わせください。

保守費用の目安は月額20,000円（税別）からです。サイトの状態、必要な作業、受付・対応条件を確認し、お見積もりをご案内します。すべての診断や復旧が基本料金に含まれるという意味ではありません。

ご相談時には、サイトURL、困っていること、現在の契約先、把握している更新・バックアップの状況をお知らせください。認証情報や秘密鍵は、通常のお問い合わせ欄に記載せず、必要になった段階で安全な共有方法を確認しましょう。

ファーストネットジャパンのホームページ保守・管理サービスを見る

関連記事

• ホームページ保守会社の料金・対応範囲と選び方
• WordPress保守サービスの比較と選び方
• WordPressとは？基本的な仕組みと特徴

ホームページのセキュリティ対策に関するよくある質問

ホームページで最低限必要なセキュリティ対策は何ですか？

CMSなどの重要な更新、管理者の認証・権限管理、HTTPS、バックアップと復元確認、異常時の連絡体制を優先して確認します。フォームや会員機能がある場合は、そのプログラムの脆弱性対策も必要です。必要な対策は、サイトの構成と取り扱う情報によって変わります。

SSL化すればホームページは安全ですか？

SSL化として知られるHTTPS対応は、ブラウザとサーバー間の通信を保護する対策です。CMSの脆弱性や管理画面への不正ログインを直接解消するものではありません。更新、認証・権限管理、WAF、バックアップなどと組み合わせる必要があります。

ホームページのセキュリティ対策は無料でできますか？

無料のSSL証明書やサーバー付帯機能を利用できる場合があります。ただし、設定確認、更新時の検証、ログ分析、復旧などには担当者の作業が必要です。機能の利用料と作業費用を分け、外注する場合は対応範囲をそろえて見積もりを比較してください。

WordPressはどのくらいの頻度で更新すべきですか？

重要なセキュリティ修正が公開された場合は、影響と緊急度を確認して速やかに対応します。通常の点検間隔とは別に、重要な更新の通知を受け取る体制が必要です。更新前にはバックアップを取得し、サイトの重要度に応じて検証環境で確認してください。

ホームページが改ざんされたら、最初に何をすべきですか？

社内責任者とサーバー・保守会社へ連絡し、被害拡大を防ぐ停止・隔離と、ログなどの証拠保全を進めます。調査前にファイルを一括削除したり、保存済みバックアップを上書きしたりしないでください。原因を修正し、安全性と動作を確認してから公開を再開します。

セキュリティ対策は自社対応と外注のどちらがよいですか？

アカウントの利用者確認や社内ルールの整備は自社でも進められます。更新の検証、サーバー設定、ログ分析、診断、復旧は、必要な技術と担当時間を確保できるかで判断してください。担当者が不在になる場合や、会員・決済など重要な機能がある場合は、外部の専門家への相談をおすすめします。

まとめ｜ホームページのセキュリティは確認・改善・復旧まで設計する

ホームページのセキュリティ対策では、SSLやWAFの導入だけでなく、CMSの更新、認証・権限管理、フォームの実装、バックアップ、監視を組み合わせることが大切です。制作時には、公開前の確認と公開後の担当範囲まで決めておきましょう。

まずはチェックリストで「確認できた項目」と「不明な項目」を整理し、重要な未対応から改善してください。バックアップは取得して終わりではなく、復元できることまで確認します。

自社で継続するのが難しい場合は、更新、検証、監視、復旧のどこまで任せられるかを確認して保守会社へ相談しましょう。ファーストネットジャパンでは、サイトの構成と課題に応じた保守・セキュリティ対策をご提案します。